Quel impact le RGPD a-t-il sur la sous-traitance (au sens de la commande publique) ?

La direction des Affaires juridiques de Bercy a mis en ligne un DC4 et une notice explicative prenant en compte le RGPD entré en application le 25 mai 2018 (ces documents sont par ailleurs régulièrement mis à jour par la DAJ).Ce DC4 comporte une nouvelle rubrique relative au traitement de données à caractère personnel : cette rubrique doit être remplie lorsque le sous-traitant se voit confier le traitement de données à caractère personnel.En application du 2 de l’article 28 du RGPD, l’acheteur doit donner au titulaire son autorisation écrite préalable, spécifique ou générale, au recrutement d’un sous-traitant (au sens de la commande publique) lorsque ce dernier est chargé de traitements de données à caractère personnel. En cas d’autorisation générale, le titulaire doit informer l’acheteur de tout ajout ou remplacement de sous-traitants afin que celui-ci ait la possibilité d’émettre des objections à l’encontre des sous-traitants présentés.Que l’autorisation donnée soit générale ou spécifique, le titulaire et son sous-traitant renseignent dans cette rubrique les activités de traitement de données à caractère personnel sous-traitées et notamment l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées.Le soumissionnaire ou titulaire coche les deux cases déclaratives (de manière cumulative) qui ont pour but de lui rappeler qu’il lui appartient de s’assurer, d’une part, que son sous-traitant présente des garanties suffisantes pour la mise en œuvre de mesures techniques et organisationnelles propres à assurer la protection des données personnelles et, d’autre part, que le sous-traité intègre les clauses obligatoires prévues par l’article 28 du RGPD. Si le sous-traitant ne remplit pas ses obligations en matière de protection des données, le titulaire demeure pleinement responsable devant l’acheteur de l’exécution par le sous-traitant de ses obligations.

Quel est le rôle du délégué à la protection des données ?

Depuis le 25 mai 2018, les collectivités territoriales doivent désigner un délégué à la protection des données qui a pour missions :d’informer et de conseiller le responsable de traitement de la collectivité ;de diffuser une culture « informatique et libertés » au sein de la collectivité ;de contrôler le respect du règlement et du droit national en matière de protection des données ;de conseiller la collectivité sur la réalisation d’une analyse d’impact relative à la protection des données et d’en vérifier l’exécution ;de coopérer avec la Cnil et d’être le point de contact de celle-ci.

Tous les marchés doivent-ils contenir des clauses RGPD ?

Non. Les clauses spécifiques prévues par l'article 28 du RGPD sont nécessaires uniquement lorsque le titulaire traite des données personnelles pour le compte de l'acheteur.

Comment vérifier si votre marché implique l’utilisation de données personnelles ?

L’article 4.1 du RGPD précise qu’une donnée à caractère personnel est constituée par « toute information se rapportant à une personne physique identifiée ou identifiable […] ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

Le titulaire peut-il utiliser les données pour ses propres besoins ?

Non, sauf si le contrat ou la réglementation lui confère la qualité de responsable du traitement pour cette finalité.

Fichepratique

Sommaire

1. Maîtriser l’impact du RGPD sur les marchés publics
2. Identifier les acteurs du RGPD
3. Mettre en place des clauses relatives au RGPD dans les cahiers des charges
4. Connaître les risques en cas de non-conformité

Notre conseil
Évitez les erreurs
FAQ
Aller plus loin

Outils et modèles (1)

Clauses types relatives à la protection des données (réf : dtou8121)

Fiche associée (1)

Intégrer le RGPD dans les clauses du marché public

Réservé aux abonnés

Demande de devis Essai gratuit

Mis à jour le 15 juil. 2026 par Vanessa Pardo | Coordonné par Vanessa Pardo | Référence : 11313

L'essentiel par l'éditeur

Le RGPD impacte significativement les marchés publics en France, imposant aux maîtres d'ouvrage de démontrer leur conformité. Les entreprises postulant peuvent demander des informations sur le traitement de leurs données. La Cnil recommande d'intégrer des clauses RGPD dans les contrats, définissant les responsabilités des responsables de traitement et sous-traitants. La non-conformité peut entraîner des sanctions sévères, y compris des amendes pouvant atteindre 4 % du chiffre d'affaires annuel mondial.

Comment intégrer le RGPD dans les marchés publics ?
Quelles sont les obligations des sous-traitants selon le RGPD ?
Quelles sanctions en cas de non-conformité au RGPD ?

Le règlement (UE) 2016/679 du 27 avril 2016 (RGPD) constitue le cadre de référence en matière de protection des données à caractère personnel. Son application concerne directement les marchés publics dès lors que leur exécution implique un traitement de données personnelles par le titulaire du marché.

Ce document européen, adopté dans le but de protéger les données à caractère personnel des personnes physiques, impacte la commande publique dès lors que le titulaire d’un contrat est amené à manipuler des informations sensibles issues des agents du pouvoir adjudicateur, des usagers du service public ou des citoyens. Sous peine d’être sanctionné, l’acheteur doit veiller à la protection de ces éléments par le prestataire, dénommé « sous-traitant » dans le RGPD.

Quelles sont les clauses à insérer dans les marchés et comment vérifier la mise en œuvre de ces nouvelles obligations ?

Maîtriser l’impact du RGPD sur les marchés publics

Le règlement européen n° 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (RGPD), a renforcé la protection des personnes concernées par un traitement de leurs données à caractère personnel.

Les dispositions du RGPD sont applicables depuis le 25 mai 2018. La loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles ainsi que son décret d’application n° 2018-687 du 1er août 2018 complètent ce règlement.

Il existe toute une série de données à caractère personnel issues des candidatures et des offres. En cas de sollicitation, le maître d’ouvrage doit désormais être en capacité de démontrer sa conformité au texte européen.

Ainsi, en vertu de l’article 12 du RGPD, le maître d’ouvrage a l’obligation de communiquer à la personne...

Contenu réservé aux abonnés

Si vous êtes abonné, cliquez pour poursuivre la lecture

Il vous reste 85% à découvrir

Poursuivez la lecture
en profitant d'un essai gratuit (offre sans engagement)

Accédez à une base complète de fiches pratiques et d’outils & méthode
Bénéficiez d’un ensemble de solutions méthodologiques opérationnelles et juridiques
Notre IA juridique au service de votre pratique